ある企業はVPC内のEC2インスタンスからのアウトバウンドトラフィックに対して、FQDN（Fully Qualified Domain Name：完全修飾ドメイン名）ベースのフィルタリングを実施したいと考えています。具体的には「*.malicious-domain.com」へのHTTPS通信をブロックし、許可されたドメインのみ通信を通す必要があります。運用負荷を最小化しながらこの要件を実現するための最適なアーキテクチャはどれですか？
AWS Network Firewallはマネージドのステートフルファイアウォールサービスで、SNI（Server Name Indication：TLSハンドシェイク時にクライアントが接続先ドメイン名を通知する仕組み）やHTTPホストヘッダーを利用したFQDNベースのドメインリストルールをサポートします。ファイアウォールサブネットにエンドポイントを配置し、VPCのルートテーブルを変更することでVPC内の全アウトバウンドトラフィックを検査できます。 選択肢A のセキュリティグループのIPリスト管理はIPアドレスしか指定できずドメイン名フィルタリングが不可です。CDNや動的IPのサービスでは管理が破綻し運用負荷も高いです。 選択肢B のWAF on ALB はHTTP/HTTPSのアプリケーションレイヤー（レイヤー7）のみ対応で、ALBを経由しないEC2の直接アウトバウンドトラフィックはフィルタリング不可です。 選択肢D のNATゲートウェイのルート変更ではIPアドレスレベルのルーティング操作しかできず、ドメイン名ベースのフィルタリングは実現できません。